TISAX® inicia la transición más importante desde su creación
TISAX® acaba de iniciar la transición más relevante desde su creación. La VDA, en colaboración con ENX Association, ha publicado oficialmente VDA ISA 2027, la nueva versión del catálogo de requisitos que constituye la base de todas las evaluaciones TISAX®.
Se trata de la actualización más significativa del estándar en los últimos años y afecta directamente a fabricantes, proveedores y a cualquier organización que forme parte de la cadena de suministro del sector de la automoción.
A partir del 1 de enero de 2027, esta nueva versión será de aplicación obligatoria para cualquier nueva evaluación TISAX®. Aunque pueda parecer que aún queda tiempo, el margen de preparación es menor de lo que parece y las organizaciones que pospongan su adaptación hasta el último momento se enfrentarán a una importante presión en plazos y recursos.
En este artículo analizamos qué es VDA ISA 2027, cuándo entra en vigor, por qué ha sido necesaria esta actualización y cuáles son los principales cambios respecto a la versión anterior.
¿Qué es VDA ISA 2027?
VDA ISA 2027 es la nueva versión del catálogo de requisitos que sirve como base para todas las evaluaciones TISAX®. Sustituye a la versión anterior, VDA ISA 6.0.3, vigente desde 2024, y ha sido desarrollada conjuntamente por la VDA y ENX Association con tres objetivos principales:
· Alinear el estándar con los marcos internacionales actuales de ciberseguridad.
· Mejorar la claridad y precisión de los requisitos existentes.
· Incrementar la coherencia y comparabilidad de las evaluaciones realizadas en distintos países y por diferentes entidades evaluadoras.
No se trata de una simple revisión ni de una actualización estética del catálogo. VDA ISA 2027 redefine de forma significativa la forma en que se evalúan la seguridad de la información, la gestión de proveedores y la protección de prototipos en toda la cadena de suministro de la industria de la automoción.
Calendario de implantación: la fecha que toda empresa certificada en TISAX® debe conocer
A partir del 1 de enero de 2027, VDA ISA 2027 será obligatorio para cualquier nueva evaluación TISAX® solicitada. No se trata de una fecha orientativa, sino del plazo oficial establecido por la VDA y ENX Association.
Hasta el 31 de diciembre de 2026
Las organizaciones podrán seguir solicitando y completando evaluaciones bajo el catálogo actual VDA ISA 6.0.3.
Desde el 1 de enero de 2027
Todas las nuevas evaluaciones deberán realizarse obligatoriamente conforme a VDA ISA 2027, sin excepciones.
En la práctica, esto implica que:
Las organizaciones que soliciten una evaluación antes del 31 de diciembre de 2026 podrán completarla conforme al catálogo ISA 6.0.3.
Todas las evaluaciones solicitadas a partir del 1 de enero de 2027 deberán realizarse conforme a VDA ISA 2027, incorporando nuevos requisitos documentales y de proceso.
Las certificaciones ya obtenidas seguirán siendo válidas hasta su fecha de vencimiento; no será necesario repetir evaluaciones ya superadas.
Sin embargo, cualquier renovación o nueva evaluación solicitada a partir del 1 de enero de 2027 deberá ajustarse automáticamente al nuevo catálogo.
En consecuencia, las organizaciones disponen de poco más de un año para revisar su documentación, adaptar sus procesos internos y evaluar la gestión de sus proveedores antes de la entrada en vigor del nuevo estándar.
Cuanto antes se inicie este proceso, menor será el riesgo de afrontar la transición con plazos ajustados o auditorías realizadas bajo presión.
¿Por qué era necesaria esta actualización?
Esta revisión responde a dos cambios fundamentales que han transformado el contexto desde la publicación de la versión anterior del catálogo.
Un entorno de riesgo cada vez más complejo
La industria de la automoción opera actualmente con cadenas de suministro globales, procesos altamente digitalizados, vehículos conectados y entornos de desarrollo basados en la nube.
Aunque esta evolución ha incrementado la eficiencia del sector, también ha aumentado significativamente su exposición a ciberataques, espionaje industrial y amenazas contra la continuidad del negocio.
La propia VDA enmarca esta actualización dentro de una estrategia más amplia destinada a reforzar la protección económica y tecnológica de la industria.
Una base normativa que necesitaba actualizarse
ISO/IEC 27001, el estándar internacional sobre el que se fundamenta TISAX®, fue actualizado en 2022 mediante la publicación de ISO/IEC 27001:2022.
Sin embargo, la versión anterior del catálogo, ISA 6.0.3, seguía basándose en la edición de 2013.
VDA ISA 2027 resuelve esta situación incorporando la nueva versión de la norma y, además, introduce por primera vez una correspondencia directa con el NIST Cybersecurity Framework (CSF) 2.0, uno de los marcos de referencia más utilizados a nivel internacional, especialmente fuera de Europa.
Principales novedades de VDA ISA 2027
1. Alineación con los principales estándares internacionales de seguridad
El catálogo se actualiza para adaptarse a ISO/IEC 27001:2022 e incorpora una correspondencia directa con NIST CSF 2.0.
Esta integración facilita que las organizaciones que ya disponen de un Sistema de Gestión de Seguridad de la Información (SGSI) puedan armonizar sus procesos con los requisitos TISAX®, mejorando además la comparabilidad internacional de las evaluaciones.
2. Requisitos más claros y con mayor nivel de exigencia
La redacción de numerosos controles ha sido revisada para eliminar interpretaciones ambiguas entre organizaciones y entidades evaluadoras.
Además, determinados requisitos que anteriormente tenían carácter recomendable —como algunas medidas relacionadas con la gestión segura de contraseñas— pasan a ser obligatorios, alineando el catálogo con las mejores prácticas actuales en materia de seguridad de la información.
3. Mayor control sobre los proveedores de servicios TI
Las organizaciones deberán demostrar con mayor nivel de detalle cómo evalúan, seleccionan y supervisan a sus proveedores críticos de tecnologías de la información.
En este contexto, el documento Supplier Statement of Applicability (Supplier SoA) adquiere un papel mucho más relevante dentro del proceso de evaluación.
Este refuerzo responde al hecho de que una parte significativa de los incidentes de ciberseguridad en la cadena de suministro tiene su origen en terceros.
4. Reestructuración completa del módulo de Protección de Prototipos
El módulo destinado a la protección de vehículos, componentes o productos aún no divulgados públicamente ha sido completamente reorganizado.
La nueva versión incorpora:
una estructura interna renovada;
la integración de distintos controles;
nuevos requisitos organizativos;
y la eliminación de contenidos obsoletos.
Según la propia VDA, estas modificaciones facilitan una implantación más sencilla y una aplicación más coherente por parte de las organizaciones.
5. Mayor integración entre seguridad de la información y protección de datos
La seguridad de la información y la protección de datos personales dejan de tratarse como ámbitos independientes.
A partir de VDA ISA 2027 será posible justificar ambos aspectos mediante evidencias comunes durante la evaluación, simplificando el proceso para aquellas organizaciones que gestionan información sensible de clientes, empleados o colaboradores.
¿Qué deberían hacer ahora las organizaciones certificadas en TISAX®?
Las organizaciones que ya disponen de una certificación TISAX® vigente, o cuya renovación esté prevista para 2026 o 2027, deberían comenzar cuanto antes su proceso de adaptación.
En particular, recomendamos:
Revisar la documentación existente comparándola con los nuevos requisitos del catálogo para identificar posibles desviaciones antes de la evaluación.
Actualizar los procesos internos, especialmente aquellos relacionados con la gestión de proveedores TI y, cuando resulte aplicable, con la protección de prototipos.
Formalizar aquellas medidas de seguridad que anteriormente eran voluntarias y que pasan a ser requisitos obligatorios.
Planificar con suficiente antelación la próxima evaluación, determinando si puede realizarse todavía conforme a ISA 6.0.3 o si deberá desarrollarse ya bajo VDA ISA 2027.
Evitar concentrar la solicitud de evaluación durante el último trimestre de 2026, ya que es previsible un incremento considerable de la demanda tanto de entidades evaluadoras como de consultoras especializadas.
Las organizaciones que todavía no disponen de una evaluación TISAX® y estén considerando iniciar el proceso deberían valorar seriamente comenzar directamente conforme a VDA ISA 2027, evitando así una doble adaptación en un corto periodo de tiempo.
En Ariol Automotive acompañamos a fabricantes y proveedores de toda la cadena de suministro en su transición hacia VDA ISA 2027, aplicando el mismo rigor técnico y la misma metodología que han caracterizado nuestros proyectos de implantación y preparación para evaluaciones TISAX®.
Si tu próxima evaluación está prevista para los próximos meses, este es el momento de comenzar la preparación.
